1、组件介绍

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。由于有了Sun 的参与和支持，最新的Servlet 和JSP 规范总是能在Tomcat 中得到体现，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 规范。Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。

2、漏洞描述
近日，深信服安全团队监测到一则Apache Tomcat组件存在信息泄露漏洞的信息，漏洞编号：CVE-2021-24122，漏洞：中危。该漏洞是由JRE 的API File.getCanonicalPath()在一些情况下的路径处理与Windows API FindFirstFileW不一致导致的，攻击者可利用该漏洞在未授权的情况下，构造恶意数据，最终造成服务器敏感性信息泄露。

目前受影响的Apache Tomcat版本：

Apache Tomcat 10.0.0-M1 to 10.0.0-M9

Apache Tomcat 9.0.0.M1 to 9.0.39

Apache Tomcat 8.5.0 to 8.5.59

Apache Tomcat 7.0.0 to 7.0.106

1、官方修复建议

目前厂商已发布升级补丁修复漏洞，请受影响用户及时更新官方补丁。官方链接如下：

https://tomcat.apache.org/security-10.html

2、深信服解决方案

【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。